隨著越來(lái)越多的小型機(jī)構(gòu)使用廣域網(wǎng)連接各分支機(jī)構(gòu)。由于專線（普通租用線和DDN）在價(jià)格、靈活性等方面的缺陷，所以可采用各類交換網(wǎng)絡(luò)，如電話撥號(hào)、ISDN等。

不過(guò)撥號(hào)接入方式存在安全問(wèn)題。在因特網(wǎng)上普遍采用的撥號(hào)訪問(wèn)服務(wù)器中，一般采用各類口令認(rèn)證來(lái)解決。通常使用的有PAP和CHAP。

安全認(rèn)證機(jī)制

PAP認(rèn)證主要的工作原理是當(dāng)A機(jī)欲通過(guò)PPP協(xié)議連接B機(jī)，而B機(jī)設(shè)置了PAP認(rèn)證時(shí)，當(dāng)A機(jī)撥通B后，將自己的名字與口令一起發(fā)給B機(jī)，B從自己的用戶數(shù)據(jù)庫(kù)中查到該口令與名字相符后，A和B可繼續(xù)進(jìn)行IP地址協(xié)商，否則B將切斷線路。

PAP協(xié)議僅在連接建立階段進(jìn)行，在數(shù)據(jù)傳輸階段不進(jìn)行PAP認(rèn)證。

CHAP認(rèn)證主要原理是當(dāng)A機(jī)欲通過(guò)PPP協(xié)議連接B機(jī)，而B機(jī)設(shè)置了CHAP認(rèn)證，則當(dāng)A機(jī)撥通B后，由B機(jī)將一段隨機(jī)數(shù)據(jù)和自身的名字發(fā)給A，A根據(jù)此名字查到口令，用它對(duì)收到的隨機(jī)數(shù)據(jù)通過(guò)MD5算法進(jìn)行加密，得到16字節(jié)的加密結(jié)果，然后A將該結(jié)果和B自身的名字一起發(fā)送給B。B收到該報(bào)后，首先查到A的口令，同樣用此口令對(duì)以前發(fā)送的隨機(jī)數(shù)據(jù)，通過(guò)MD5算法進(jìn)行加密并將自己算出的加密結(jié)果與從A中收到的加密結(jié)果相比較，如果一致，A與B可繼續(xù)進(jìn)行協(xié)商，否則B將切斷線路。

CHAP協(xié)議不僅僅在連接建立階段進(jìn)行，在之后的數(shù)據(jù)傳輸階段，也將在隨機(jī)的間隔周期里進(jìn)行，如果發(fā)現(xiàn)結(jié)果不一致，B也將切斷線路。

由于安全級(jí)別高與連接速度成反比，因特網(wǎng)的很多接入都采用PAP協(xié)議認(rèn)證。一般來(lái)說(shuō)，進(jìn)入撥號(hào)訪問(wèn)服務(wù)器后，遠(yuǎn)程訪問(wèn)者還要通過(guò)主機(jī)口令的檢查，故安全不會(huì)成問(wèn)題，而國(guó)內(nèi)遠(yuǎn)程訪問(wèn)的接入速率較低，用PAP可提高一些效率。

路由器內(nèi)部認(rèn)證

使用專用路由器時(shí)，一般采用其他的服務(wù)器做安全認(rèn)證服務(wù)器，所以安裝、使用、維護(hù)都較麻煩。如果僅有幾個(gè)用戶使用，或在專用軟件中共同使用一個(gè)撥號(hào)口令，那就更不值得了。在這種情況下可采用路由器內(nèi)部認(rèn)證的方式，以Cisco路由器為例，配置如下：

hostname 2509 （路由器的名稱）

!

enable password cisco （路由器GLOBAL狀態(tài)口令）

!

username cisco password 0 cisco （遠(yuǎn)程用戶名稱、口令）

!

interface Ethernet0

ip address 202.100.99.5 255.255.255.0

no shut

!

interface Group－Async1

ip unnumbered Ethernet0

encapsulation ppp

async dynamic routing

async mode interactive （此模式可在終端方式和PPP方式切換）

peer default ip address pool default

ppp authentication pap

group－range 1 8

!

ip local pool default 202.100.99.2 202.100.99.254

ip classless

!

line con 0

line 1 8

autoselect ppp

login local （本機(jī)認(rèn)證方式）

modem InOut

autocommand ppp

transport input all

stopbits 1

speed 115200

flowcontrol hardware

line vty 0 4

password cisco

login

!

end

此配置可以作為一個(gè)內(nèi)部通信用的撥號(hào)訪問(wèn)服務(wù)器的配置，它也是標(biāo)準(zhǔn)的Intranet配置，可以用各種撥號(hào)軟件如Windows 95的撥號(hào)網(wǎng)絡(luò)功能，連接內(nèi)部的WWW等服務(wù)器。

文章錄入：csh    責(zé)任編輯：csh 

最新評(píng)論